041_強化政府內(nèi)部控制實作篇ppt

1、強化政府內(nèi)部控制實作篇,行政院內(nèi)部控制推動及督導(dǎo)小組幕僚單位,更新日期： 100.8.31,教材範(fàn)例,1,1,報告大綱,前言內(nèi)部控制制度設(shè)計範(fàn)例簡介結(jié)語,1,2,2,前 言,2,緣起,健全內(nèi)部控制實施方案(100年2月1日)研訂內(nèi)部控制制度共通性作業(yè)範(fàn)例之權(quán)責(zé)機關(guān)內(nèi)部控制制度共通性作業(yè)範(fàn)例製作原則(100年4月19日)內(nèi)部控制制度自行檢查表格式內(nèi)部控制制度設(shè)計原則(100年7月4日)主要內(nèi)容及設(shè)計步驟附件-政

2、府內(nèi)部控制觀念架構(gòu)內(nèi)部控制制度設(shè)計範(fàn)例(100年7月4日)「XX機關(guān)內(nèi)部控制制度範(fàn)例」,3,3,,設(shè)計步驟,4,範(fàn)例設(shè)計步驟說明,內(nèi)部控制制度設(shè)計範(fàn)例內(nèi)容,,,5,6,6,內(nèi)部控制制度設(shè)計範(fàn)例,6,內(nèi)部控制制度設(shè)計範(fàn)例,依據(jù)內(nèi)部控制制度設(shè)計原則「四、設(shè)計步驟」，以XX機關(guān)為例，說明設(shè)計內(nèi)部控制制度之步驟,7,XX機關(guān)內(nèi)部控制制度中華民國XXX年XX月XX日核定(核定日期)中華民國XXX年XX月XX日修訂(最新修訂

3、日期),目 次壹、整體層級目標(biāo)及機關(guān)組織職掌貳、作業(yè)層級目標(biāo)及機關(guān)組織圖參、機關(guān)分層負(fù)責(zé)明細(xì)表肆、風(fēng)險評估一、風(fēng)險辨識二、風(fēng)險分析三、風(fēng)險評量伍、控制作業(yè)陸、監(jiān)督柒、自行檢查之表件格式附件,設(shè)計步驟,8,目標(biāo),9,年度計畫與目標(biāo),http://www.rdec.gov.tw/sp.asp?xdurl=plan40.htm&ctNode=12992&mp=100,10,確認(rèn)目標(biāo)-整體層級目標(biāo),11,

4、確認(rèn)目標(biāo)-機關(guān)組織職掌,12,組織法、組織條例、組織通則、組織規(guī)程…,確認(rèn)目標(biāo)-作業(yè)層級目標(biāo),遵循機關(guān)整體層級目標(biāo)，並參考業(yè)務(wù)職掌，據(jù)以辨識相連結(jié)之作業(yè)層級目標(biāo)本機關(guān)各業(yè)務(wù)項目之作業(yè)層級目標(biāo)完成政府機關(guān)電腦效率查核促進政府共通性軟體之發(fā)展落實公務(wù)人員資訊訓(xùn)練計畫強化資訊安全管理防護能量(業(yè)務(wù)組D) (…餘略),13,確認(rèn)目標(biāo)-機關(guān)組織圖,,14,,確認(rèn)目標(biāo)-機關(guān)分層負(fù)責(zé)明細(xì)表,註:得以註明出處或建立來源連結(jié)之方式辦理,15,

5、設(shè)計步驟,16,17,目標(biāo)與風(fēng)險,風(fēng)險評估,風(fēng)險係指面對一些事件的發(fā)生，可能會影響機關(guān)目標(biāo)的達(dá)成機關(guān)任何業(yè)務(wù)之推展都可能面臨風(fēng)險，因此要強化內(nèi)部控制之前提即是要做好風(fēng)險評估，以辨識無法達(dá)成目標(biāo)之內(nèi)、外在風(fēng)險因素繼而分析風(fēng)險的影響程度及發(fā)生之可能性，考量風(fēng)險評估的結(jié)果及風(fēng)險容忍度，據(jù)以擇定應(yīng)進行風(fēng)險處理之業(yè)務(wù)項目風(fēng)險評估程序得參考「行政院所屬各機關(guān)風(fēng)險管理及危機處理作業(yè)基準(zhǔn)」及「風(fēng)險管理及危機處理作業(yè)手冊」辦理因應(yīng)機關(guān)特性有適宜之

6、風(fēng)險評估方法，亦可逕行採用,18,19,資料來源：風(fēng)險管理及危機處理作業(yè)手冊(98年1月),風(fēng)險管理架構(gòu),風(fēng)險辨識,20,風(fēng)險分析,目的：藉由判定影響、發(fā)生機率及風(fēng)險屬性以分析風(fēng)險參考「風(fēng)險管理及危機處理作業(yè)手冊」附錄二之風(fēng)險評估工具考量機關(guān)業(yè)務(wù)特性，訂定適用於本機關(guān)用以衡量風(fēng)險影響程度及發(fā)生機率之標(biāo)準(zhǔn)風(fēng)險=影響x機率,21,註：各機關(guān)應(yīng)依業(yè)務(wù)特性，自行訂定妥適之影響及機率等級評量標(biāo)準(zhǔn)。,影響及機率之?dāng)⑹龇诸惐?22,影響之?dāng)⑹龇?/p>

7、類表,機率之?dāng)⑹龇诸惐?定性,定量,註：各機關(guān)應(yīng)依業(yè)務(wù)特性，自行擇用妥適的風(fēng)險評量標(biāo)準(zhǔn),風(fēng)險評量,23,目的：依據(jù)風(fēng)險分析結(jié)果以判定需優(yōu)先執(zhí)行的風(fēng)險經(jīng)過風(fēng)險分析，考量本機關(guān)人力、資源、組織環(huán)境等因素風(fēng)險容忍範(fàn)圍：,,影響程度：「輕微(1)」發(fā)生機率：「幾乎不可能(1)」或「可能(2)」,影響程度：「輕微(1)」或「嚴(yán)重(2)」發(fā)生機率：「幾乎不可能(1)」,超出此範(fàn)圍之風(fēng)險項目，皆優(yōu)先納入風(fēng)險處理註：各機關(guān)應(yīng)自行評估風(fēng)險容忍

8、範(fàn)圍並適時檢討,,風(fēng)險分布,24,發(fā)生機率,,風(fēng)險評估結(jié)果,25,經(jīng)風(fēng)險評估後，主要風(fēng)險項目其發(fā)生機率等級為1，影響程度等級為3，屬高度風(fēng)險(如黃色區(qū)域)，超出可容忍之風(fēng)險範(fàn)圍，應(yīng)即進行風(fēng)險處理，以降低風(fēng)險,註：各機關(guān)應(yīng)依業(yè)務(wù)特性，自行擇用妥適的風(fēng)險評量標(biāo)準(zhǔn)，並依風(fēng)險容忍度，選定低度、中度、高度及極度危險風(fēng)險之範(fàn)圍，以利各機關(guān)適性、彈性地決定風(fēng)險等級。,設(shè)計步驟,26,選定業(yè)務(wù)項目,,業(yè)務(wù)項目,作業(yè)類別,作業(yè)項目,依據(jù)風(fēng)險評估結(jié)果，發(fā)現(xiàn)

9、主要風(fēng)險項目「網(wǎng)頁檔案遭病毒感染未落實通報」，係屬於本機關(guān)資訊安全管理業(yè)務(wù)之事件管理類別,註：其他業(yè)務(wù)項目視機關(guān)業(yè)務(wù)職掌，並依重要性、風(fēng)險性原則選定,27,設(shè)計步驟,28,設(shè)計控制作業(yè),29,根據(jù)風(fēng)險評估結(jié)果，應(yīng)就超過風(fēng)險容忍度之主要風(fēng)險項目，找出對應(yīng)之相關(guān)業(yè)務(wù)項目，其中有關(guān)共通性業(yè)務(wù)，可參採各權(quán)責(zé)機關(guān)所定之共通性作業(yè)範(fàn)例?？刂谱鳂I(yè)，係為確保各項業(yè)務(wù)活動皆已有效運作，相關(guān)控制重點已併入各項業(yè)務(wù)活動之作業(yè)流程中設(shè)計。各機關(guān)應(yīng)針對選定業(yè)

10、務(wù)項目之重要環(huán)節(jié)，設(shè)計相關(guān)之控制重點，如文件是否經(jīng)適當(dāng)核準(zhǔn)，事件是否經(jīng)妥善記錄，物品是否定期盤點，狀況是否適時通報，預(yù)算或績效是否進行分析比較、職能是否明確劃分等。,控制作業(yè)得併入各項作業(yè)流程中設(shè)計，並納為內(nèi)部控制制度之附件,控制重點,30,預(yù)防性控制(前)藉由「事前」的控制，形成一道屏障來防止特別交易的不當(dāng)進行或阻止錯誤的發(fā)生。例如：承保前之風(fēng)險評估、對銷貨客戶之徵信、使用經(jīng)核準(zhǔn)之供應(yīng)商名單偵查性控制(中)利用某些程序來偵測已

11、發(fā)生之錯誤或不當(dāng)交易。例如：編製銀行調(diào)節(jié)表、存貨盤點、與銷貨客戶之定期對帳矯正性控制(後)用來矯正偵查性控制所發(fā)現(xiàn)之問題或矯正交易之控制。例如：透過電腦對採購單之檢核可以偵測到未經(jīng)核準(zhǔn)之供應(yīng)商號碼，進而追蹤其原因及時修正交易資料或防止向不適當(dāng)供應(yīng)商之採購補償性控制用來補償其他控制之不足，使得某些控制弱點不成為問題。例如：未有足夠之人力執(zhí)行職能分工時，可透過由客戶或管理階層親自監(jiān)督來彌補此一控制弱點。指示性控制由管理階層指示一

12、些行動，以便達(dá)成某種結(jié)果，產(chǎn)生正面性之結(jié)果，相對於預(yù)防性、偵查性及矯正性控制重在防止、偵測及更正負(fù)面結(jié)果。,控制方式說明,安裝防毒軟體,定期掃毒,隔離或刪病毒,採用線上掃毒(VirusTotal),http://www.virustotal.com,31,設(shè)計步驟,32,建立檢查機制,33,目的：評估內(nèi)部控制制度設(shè)計及執(zhí)行之有效性,每年至少自行檢查一次，遇有特殊情形，得隨時辦理作成紀(jì)錄建檔備供主管機關(guān)訪查及督導(dǎo),建立檢查機制,本機關(guān)

13、為強化資訊安全，目前已導(dǎo)入ISO 27001之資訊安全管理制度(ISMS)，建立資訊安全之檢查機制有：例行監(jiān)督：由內(nèi)部各單位主管例行督導(dǎo)各項資安業(yè)務(wù)。自行檢查：每年由內(nèi)部各單位自行檢查一次內(nèi)部控制制度設(shè)計及執(zhí)行之有效性?；嗽u估：由政風(fēng)單位進行內(nèi)部資訊安全查核。外部稽核：每年請外部驗證機構(gòu)至本機關(guān)進行資安稽核。,34,整體層級自行檢查表,如檢查重點有不適用情形者，應(yīng)於此欄位中敘明,35,,,作業(yè)層級自行檢查表,36,如檢查重點有

14、不適用情形者，應(yīng)於此欄位中敘明,附件 (作業(yè)流程),37,本機關(guān)之作業(yè)流程包含內(nèi)部各單位之業(yè)務(wù)，所設(shè)計之控制作業(yè)皆併入作業(yè)流程中設(shè)計，列舉如下：一、共通性業(yè)務(wù)(一)出納業(yè)務(wù)(二)財產(chǎn)管理業(yè)務(wù)(三)政風(fēng)業(yè)務(wù)(四)…二、個別性業(yè)務(wù)(一)資訊安全管理業(yè)務(wù) 1. 資訊安全事故管理作業(yè)類別 (1)資訊安全事件通報作業(yè)項目(…餘略),XX機關(guān)資訊安全事件通報作業(yè)程序說明表,38,第1碼：延續(xù)共通性